Menu
Connexion Yabiladies Ramadan Radio Forum News
c'est quoi ton mot de passe?
h
10 octobre 2009 22:09
salam alykoum,


Piratage des mots de passe hotmail, yahoo, gmail : phishing ou malware ?


En début de semaine et à la suite de la publication d'une liste de plus de 10 000 mots de passe de comptes hotmail, les responsables de Yahoo Mail et Gmail avaient également indiqué avoir été la cible de tentatives de vols de comptes en masse. La source du problème, qui semble avoir touché au total plus de 30000 comptes tous services confondus, a été attribuée à une attaque par phishing. Une experte en sécurité remet cette théorie en question et parle d'un malware et de botnet tandis qu'un autre éditeur spécialisé en sécurité s'est attardé sur la fameuse liste de mots de passe.

Un malware ou botnet source du problème ?
Pour Mary Landesman, chercheur en sécurité de ScanSafe, la théorie du Phishing donnée par Google et Microsoft pour expliquer le problème n'est pas forcément la cause de ce piratage en masse. Elle évoque ainsi un problème similaire antérieur à cette affaire où elle avait découvert une liste de 5000 identifiants et mots de passe windows Live ID. La façon dont sont organisées et triées ces listes et le nombre de comptes touchés évoquerait plus un piratage par un malware ou un réseau botnet.

Un autre point fait penser à Mary Landesman qu'il s'agit là d'un vol par malware plutôt que d'un problème de phishing : la capacité des internautes à reconnaître ces tentatives de vol. Elle s'exprime sur le site Computerworld : "Les escroqueries par phishing ne rencontrent pas un grand succès et n'ont pas un fort taux de retour. Les utilisateurs sont plus avisés sur le phishing qu'on ne pourrait le croire".

Une affirmation qui pourrait se vérifier si l'on en croit le sondage mis en place dans la communauté CNETFrance, où plus de la moitié (environ 60%) des utilisateurs ayant voté déclarent avoir déjà reçu une tentative de phishing, et qu'ils ont dû, pour la plupart, déjouer au vu des 15% "seulement" ayant été concerné par un vol de compte au final.

L'analyse des mots de passe dévoilés
L'éditeur de solutions de sécurité pour sites web Acunetix s'est, quant à lui, attardé sur la fameuse liste de mots de passe des comptes Windows Live qu'il a réussi à récupérer. Pour lui, la liste a bien été obtenue par une opération de phishing mal préparée. Certains utilisateurs ont en effet saisi plusieurs fois leurs identifiants, ce qui laisse penser que le faux formulaire de connexion renvoyait une erreur.

Sur les 9843 mots de passe utilisés pour réaliser des statistiques, 90% sont uniques, ce qui est plutôt rassurant à première vue, puisque les personnes concernées ont un mot de passe personnalisé. Au niveau de la longueur des mots de passe, la plupart des titulaires de comptes utilisent entre 6 et 10 caractères. Une dizaine d'utilisateurs seulement ont choisi un mot de passe faible composé de 1 à 3 caractères, 46 disposait d'un mot de passe de plus de 20 caractères, le plus long en possédait 30 !

Alors qu'il est fortement recommandé de choisir un mot de passe contenant des chiffres et des lettres pour sécuriser son compte, un conseil suivi par 30% des utilisateurs, 45% n'utilisent que des lettres et 19% que des chiffres. Les 6% restants, plus avisés, y ont ajouté des caractères spéciaux supplémentaires tel que @, $ ou #...

Mais le point le plus étonnant de l'analyse est le choix de certains utilisateurs pour le mot de passe. Celui qui a le plus de succès et qu'on retrouve pas moins de 64 fois est "123456", suivi de "123456789" utilisé 18 fois. On note également les "000000" et "111111" choisis 7 et 10 fois, puis viennent les prénoms et mots de passe classiques : "alejandra" (11 fois), "alberto" (9 fois), "tequiero" (9 fois) et "iloveyou" (7 fois).
assalam o alykoum
 
Emission spécial MRE
2m Radio + Yabiladi.com
Facebook